出典: Security NEXT – https://www.security-next.com/177184
FortiWebに深刻な脆弱性が発見され、既に攻撃も確認
Fortinet社のウェブアプリケーションファイアウォール（WAF）製品「FortiWeb」に、管理者権限の不正取得を許す深刻な脆弱性が明らかになりました。既にこの脆弱性を悪用した攻撃も確認されており、利用者には速やかな対策が求められています。
主要なポイント
- 脆弱性の概要：「FortiWeb」の複数バージョンに影響するパストラバーサル脆弱性（CVE-2025-64446）が存在し、細工したHTTP/HTTPSリクエストによりアクセス制御をバイパスし、管理者権限でのコマンド実行が可能になる。
- 影響範囲：「FortiWeb 8.0」「7.6」「7.4」「7.2」「7.0」など幅広いバージョンが対象で、企業や組織の重要なウェブアプリケーション防御に影響を及ぼす。
- 深刻度評価：CVSSv3.1ベーススコアは9.8と最高レベルの「クリティカル（Critical）」に分類されている。
- 既知の攻撃：脆弱性の悪用が既に確認されており、実際に攻撃が行われているため、迅速な対応が必要。
- 対策方法：Fortinetは「8.0.2」「7.6.5」「7.4.10」「7.2.12」「7.0.12」以降のバージョンで修正済みとしており、利用者に最新バージョンへのアップデートを強く推奨している。
技術的な詳細や背景情報
今回の脆弱性は「パストラバーサル（Path Traversal）」と呼ばれる攻撃手法に分類されます。これは、ウェブアプリケーションがファイルパスの検証を適切に行わず、攻撃者が意図的に「../」などの特殊な文字列を使って本来アクセスできないファイルやディレクトリにアクセスできてしまう問題です。
FortiWebはウェブアプリケーションへの攻撃を防ぐためのファイアウォールですが、この脆弱性により、攻撃者は細工したリクエストを送ることで管理者権限を奪い、システム上で任意のコマンドを実行できる恐れがあります。これにより、システムの完全な乗っ取りや情報漏洩、サービス停止などの重大な被害が発生する可能性があります。
影響や重要性
FortiWebは多くの企業や組織でウェブアプリケーションの防御に利用されているため、この脆弱性は広範囲にわたる影響を及ぼします。攻撃者に管理者権限を奪われると、内部ネットワークへの侵入や重要情報の窃取、さらには他のシステムへの攻撃の踏み台にされるリスクもあります。
また、脆弱性の悪用が既に確認されていることから、未対応の環境は非常に危険な状態にあると言えます。企業のセキュリティ担当者は速やかにFortinetの提供する修正版へアップデートを行い、被害拡大を防ぐ必要があります。
まとめ
Fortinetのウェブアプリケーションファイアウォール「FortiWeb」におけるパストラバーサル脆弱性（CVE-2025-64446）は、管理者権限の不正取得を許す非常に深刻な問題です。既に攻撃が確認されているため、利用者は速やかに最新の修正版へアップデートし、システムの安全性を確保することが不可欠です。今後もセキュリティ情報に注意を払い、適切な対策を講じることが重要です。
